Evitar que el malware Skeleton Key cause filtraciones de datos
Demostrando el viejo dicho de que “los delincuentes nunca duermen”, un nuevo malware está acaparando los titulares. El malware Skeleton Key, acertadamente llamado, detectado a mediados de enero, elude la protección de autenticación de contraseña de Active Directory. Así como las llaves maestras del siglo pasado abrieron cualquier puerta de un edificio, el malware Skeleton Key puede desbloquear el acceso a cualquier recurso protegido por AD en una organización. Comprender Skeleton Key, junto con los métodos de prevención, detección y corrección, permitirá a los administradores de TI luchar contra esta última amenaza a la seguridad.
AD es la piedra angular de la seguridad de la red de muchas organizaciones. Está ubicuamente integrado con prácticamente todos los tipos de sistemas de TI. Desde servidores de archivos estándar hasta sistemas financieros y concentradores de VPN, AD suele ser el componente que autentica nombres de usuarios y contraseñas. Instalada en un controlador de dominio de AD, Skeleton Key permite a un atacante autenticarse como cualquier usuario de AD. Los usuarios de dominio, los administradores de dominio e incluso los administradores empresariales están igualmente comprometidos. ¡Cosas realmente aterradoras!
Dos atributos clave inhiben la propagación de infecciones de Skeleton Key. El malware requiere acceso directo al controlador de dominio para su instalación y solo reside en la memoria una vez instalado. Requerir acceso al controlador de dominio significa que el DC debe verse comprometido utilizando otros métodos antes de la instalación de Skeleton Key. Lo más probable es que Skeleton Key viaje con otro malware. El malware inicial abre la puerta al DC, lo que permite a Skeleton Key abrir el acceso del atacante a toda la red protegida de AD. Para demostrar este punto, recientemente se ha encontrado Skeleton Key en sistemas infectados con backdoor.Winnti. El troyano backdoor.Winnti probablemente creó el acceso de puerta trasera para la instalación de Skeleton Key.
Skeleton Key es un parche en memoria. Esto hace que la memoria del malware sea residente únicamente. Un simple reinicio del DC borra Skeleton Key de la memoria, lo que requiere una reinstalación. Desafortunadamente, los DC suelen pasar semanas o incluso meses entre reinicios. La probabilidad de reinfección después del reinicio depende del malware que acompaña a Skeleton Key. Con ligeras modificaciones, troyanos como backdoor.Winnti podrían automatizar la reinfección de Skeleton Key después de reiniciar DC.
La mejor defensa contra Skeleton Key es multifacética. Comience con lo básico, incluida la instalación de actualizaciones de Windows y la actualización de la protección contra malware en todos los sistemas de la red. Microsoft puede lanzar parches en cualquier momento que obstaculicen la eficacia de Skeleton Key. La protección contra malware, además de detectar Skeleton Key en la memoria de un DC infectado, puede detectar otras amenazas habilitadoras, como backdoor.Winnti, en la red.
Los reinicios programados periódicamente de los controladores de dominio borran la clave maestra de la memoria. Los entornos AD bien diseñados tienen múltiples DC que permiten reinicios sin tiempo de inactividad de la red. Los entornos con controladores de dominio únicos deben programar reinicios fuera del horario laboral. Los reinicios no evitarán la reinfección, pero requerirán que los atacantes trabajen más para mantener el acceso a su red a través de Skeleton Key.
Utilice una auditoría sólida. Skeleton Key aprovecha PSExec para comprometer los sistemas. PSExec registra los ID de eventos 7045 y 7036 cuando se utilizan. Auditar los registros de eventos para estos ID ayudará a identificar usos maliciosos versus usos esperados de la utilidad PSExec. También audite todos los inicios de sesión utilizando credenciales de administrador empresarial o de dominio en cualquier lugar de la red. La instalación de Skeleton Key requiere privilegios de administrador de dominio o superiores. Dado que estos inicios de sesión de alto nivel deben ser limitados, la identificación de actividades de inicio de sesión inusuales puede identificar rápidamente una infección. Del mismo modo, la supervisión de cambios inesperados de contraseña para cuentas de administrador empresarial y de dominio puede exponer a un atacante en el trabajo.
Implementar autenticación multifactor. Skeleton Key solo omite la autenticación basada en contraseña de un solo factor. Si se utiliza un segundo factor, como biometría o tokens, Skeleton Key no es efectivo. Si bien la implementación de la autenticación multifactor requiere cierta inversión, sus beneficios son generalizados.
El potencial de Skeleton Key para causar estragos es significativo. Una infección Skeleton Key proporciona al atacante acceso a archivos confidenciales, correo electrónico confidencial e incluso potentes sistemas financieros. Los profesionales de TI diligentes deben tomar medidas sensatas ahora para evitar que su organización se convierta en un caso de estudio clave.
